Buenas Prácticas de Automatización de Infraestructura

Una infraestructura idempotente, versionada y auditable mantiene predecibles los cambios en producción. Estas reglas se aplican ya sea que uses Ansible, Pulumi, Terraform/CDKTF o scripts de boto3.

Cómo Usar Esta Lista

• Adóptalas antes de la primera aplicación en producción; las adaptaciones posteriores son dolorosas una vez que se acumula la deriva.
• Convierte los elementos no verificados en tickets rastreables con responsables, no en excepciones silenciosas.
• Revisa trimestralmente a medida que cambian las cuentas, las reglas de cumplimiento y el tamaño del equipo.
• Combina con Testing Infrastructure Code para la aplicación en CI.

A - Fuente de Verdad

• Almacena todas las definiciones de infraestructura en git. Las correcciones rápidas en la consola deben ser retroportadas o revertidas dentro de un día hábil.
• Fija las versiones de las herramientas en archivos de bloqueo (lockfiles). pulumi, cdktf, ansible y los paquetes de proveedores se instalan a partir de bloqueos de uv/pip en CI.
• Un esquema de nomenclatura de recursos lógicos. Nombres lógicos estables evitan la rotación de reemplazos en los motores de IaC.
• Etiqueta cada recurso con Entorno, Propietario y Centro de Costos. La política de CI rechaza creaciones sin etiquetar.
• Documenta el mapeo de stack a cuenta en el README. Evita aplicar el stack prod a la cuenta AWS incorrecta.

B - Disciplina de Planificación y Aplicación

• Ejecuta plan/preview en cada PR que toque la infraestructura. Adjunta la salida al PR o al almacén de artefactos de CI.
• Bloquea cambios destructivos no revisados. Las eliminaciones en recursos con estado requieren un ticket de aprobación explícito.
• Usa archivos de plan guardados para la aplicación. terraform apply tfplan - no un plan implícito fresco en el momento de la aplicación.
• Separa el estado por entorno. Sin estado compartido de Terraform/Pulumi entre desarrollo y producción.
• Falla en modo cerrado ante errores de política. Los fallos de pytest/OPA detienen el pipeline; sin anulaciones manuales sin registro de incidentes.

C - Secretos y Configuración

• Nunca confirmes secretos en group_vars, tfvars o configuración de Pulumi. Usa configuración cifrada o referencias a gestores de secretos.
• Renderiza plantillas a partir de YAML en capas, no de archivos bifurcados por entorno. Una plantilla, solo superposiciones de datos del entorno.
• Valida la configuración con Pydantic o pruebas de esquema antes de renderizar. Los errores tipográficos deben fallar en CI, no en despliegues de producción.
• Restringe los permisos de los archivos renderizados al usuario del servicio. Modo 0600 para archivos que contienen credenciales.
• Rota los secretos sin editar los IDs de recursos de IaC. Actualiza los valores de los secretos en el gestor, vuelve a renderizar la configuración de la aplicación.

D - Idempotencia y Deriva (Drift)

• Prefiere módulos sobre shell crudo en Ansible. Conserva el reporte changed=0 y la semántica de convergencia.
• Implementa ayudantes ensure para código de pegamento boto3. Comprueba la existencia antes de crear; converge etiquetas y configuraciones.
• Programa trabajos de detección de deriva. Compara los atributos en vivo de AWS con la especificación declarada; alerta ante discrepancias.
• La segunda convergencia de Ansible debe reportar cero cambios. Molecule o CI demuestran idempotencia.
• Importa recursos adoptados al estado de IaC. No dejes recursos creados en la consola sin seguimiento.

E - Operaciones y Auditoría

• Emite logs estructurados en JSON desde la automatización. Incluye actor, stack, SHA del commit y recuentos de acciones.
• Usa federación OIDC para roles de AWS de CI. Sin AWS_ACCESS_KEY_ID de larga duración en secretos de GitHub/GitLab.
• Cuenta sandbox para pruebas de integración. Las credenciales de producción nunca alimentan los pipelines de PR.
• Ejecuta ruff y pytest en paquetes Python de infraestructura. El mismo nivel de calidad que el código de aplicación.
• Mantén el acceso a la consola de "break-glass" raro y registrado. Después de un incidente, reconcilia los cambios de la consola en git.

Preguntas Frecuentes

Relacionados

• Conceptos Básicos de Automatización de Infraestructura - Fundamentos de IaC
• Testing Infrastructure Code - Puertas de CI y políticas
• Configuration Management - Configuración en capas y secretos
• Pulumi (IaC con Python) - Provisionamiento nativo de Python
• Provisioning Cloud Resources - Configuración repetible en la nube

Versiones de Stack: Esta página fue escrita para Python 3.14.0 (estable 3.14, mantenimiento 3.13), FastAPI 0.115+, Django 5.2, Flask 3.1, Pydantic 2, PyTorch 2.6+, pandas 2.2+, Polars 1.x, ruff 0.9+ y uv 0.6+.